🇰🇷 한글 설명
OWASP ModSecurity Core Rule Set(CRS)에서 HTTP Range 헤더를 반복적으로 사용하여 데이터의 작은 조각을 순차적으로 유출할 수 있는 응답 본문 우회 취약점이 발견되었습니다. 공격자는 이를 통해 WAF의 패턴 매칭을 우회하여 제한된 리소스에 접근하고 데이터를 탈취할 수 있습니다.
💡 쉬운 설명
웹 방화벽이 감시하는 데이터를 아주 작은 조각으로 나누어 조금씩 가져가는 방식으로 보안망을 몰래 빠져나가는 공격입니다. 마치 큰 물건을 한 번에 못 가져가니 아주 작은 부품으로 나누어 여러 번 몰래 옮기는 것과 같습니다.
🇺🇸 원문 (English)
The OWASP ModSecurity Core Rule Set (CRS) is affected by a response body bypass to sequentially exfiltrate small and undetectable sections of data by repeatedly submitting an HTTP Range header field with a small byte range. A restricted resource, access to which would ordinarily be detected, may be exfiltrated from the backend, despite being protected by a web application firewall that uses CRS. Short subsections of a restricted resource may bypass pattern matching techniques and allow undetected access. The legacy CRS versions 3.0.x and 3.1.x are affected, as well as the currently supported versions 3.2.1 and 3.3.2. Integrators and users are advised to upgrade to 3.2.2 and 3.3.3 respectively and to configure a CRS paranoia level of 3 or higher.
📍 영향받는 시스템
OWASP CRS 3.0.x, 3.1.x, 3.2.1, 3.3.2 버전
⚔️ 공격 벡터
HTTP Range 헤더 필드에 작은 바이트 범위를 지정하여 반복적으로 요청을 보내는 방식
🛡️ 대응 방법
CRS를 3.2.2 또는 3.3.3 이상으로 업그레이드하고 Paranoia Level을 3 이상으로 설정
🔧 검증 코드
설치된 CRS의 경로와 버전을 확인하여 취약한 버전(3.2.1 이하 등)인지 체크합니다.
grep -r "modsecurity-crs" /etc/modsecurity/ 2>/dev/null || echo 'CRS not found'